Aceasta acoperă ciclul de viață al API-ului: cunoașterea interfețelor existente, definirea frontierelor de încredere și a schemelor, autentificarea apelanților, autorizarea fiecărei operațiuni și obiect, validarea mesajelor, constrângerea utilizării resurselor, protejarea credențialelor și transportului, monitorizarea comportamentului și retragerea în siguranță a versiunilor vechi.
API-urile expun capabilități de afaceri citibile automat, așa că cereri tehnic valide pot fi totuși abuzive. Un utilizator autentificat ar putea cere înregistrarea altui client, enumera identificatori, automatiza un flux de lucru costisitor sau furniza date în care un serviciu din aval are încredere nesigur. Protecția eficace combină prin urmare controale de gateway și edge cu autorizare și reguli de afaceri implementate în aplicație.
Puncte esențiale
Mențineți un inventarÎnregistrați proprietarii, versiunile, mediile, schemele, clasificările datelor, dependențele, expunerea și starea de retragere, inclusiv API-uri nedocumentate sau uitate.
Aplicați identitate și autorizareValidați tokenurile și audiențele, folosiți autentificare adecvată a clientului și verificați permisiuni la nivel de obiect, proprietate și funcție la fiecare cerere.
Constrângeți intrarea și consumulValidați structura și conținutul, limitați dimensiunea cererilor și operațiunile costisitoare, controlați paginarea și concurența și returnați doar datele necesare.
Operați în siguranțăProtejați cheile și tokenurile, criptați transportul, jurnalizați evenimente relevante pentru securitate fără a divulga secrete, testați cazuri de abuz și verificați comportamentul API-urilor terțe.
Limitare importantăUn gateway API sau un WAF poate respinge multe cereri malformate sau cunoscute ca rele, dar de regulă nu poate determina dacă o acțiune de afaceri cu aspect valid este autorizată, sigură sau frauduloasă fără contextul aplicației.